| 基线要素 | 常见调用方、频率范围、活跃时段 |
|---|---|
| 异常信号 | 来源变化、频率突增、导出尝试、非工作时段使用 |
| 联动分析 | 与审计日志、CI 记录、变更系统交叉比对 |
查询云 KMS 相关事件（示意）
查询云 KMS 相关事件（示意）
aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventName,AttributeValue=Decrypt --max-items 20监控指标要能落到具体密钥与调用方，否则告警无法定位处置。
本包目录（305 条）
加密算法基础95 条TLS 与 HTTPS60 条证书与 PKI30 条OpenSSL 实战30 条证书运维排查49 条
密钥管理41 条
- 密钥轮换策略
- 私钥文件权限基线
- 私钥保护层次
- KMS 密钥管理服务
- SSH 密钥管理
- HSM 硬件安全模块
- 凭据管理平台
- 证书密钥零停机轮换
- 密钥生命周期管理
- 信封加密（KEK/DEK）
- 代码库密钥扫描
- 密钥备份与恢复
- 密钥用途分离
- 密钥层次结构
- 软件密钥库与 HSM 对比选型
- 私钥口令处理规范
- API Key 与客户端证书对比
- 后量子密码迁移准备
- 密钥生成与随机性来源
- 云 KMS 信封加密落地
- 云凭据轮换
- 容器中的密钥注入
- 密钥生成仪式与双人控制
- 密钥派生与域分离
- 密钥操作审计日志
- 密钥销毁
- 签名服务与密钥隔离
- 密钥与证书联合盘点
- 根密钥离线保护
- 密码敏捷性（crypto agility）
- 密钥吊销与证书吊销的区别
- 短时凭据（JIT）
- 密钥托管（escrow）
- HSM 高可用与备份
- SSH Agent 转发风险
- 硬件令牌与 PIV 私钥
- 密钥使用监控
- 备份加密与密钥分离
- 删除与安全擦除的区别
- TLS 私钥放入 HSM 的思路
- 密钥安全传输
密钥使用监控
为密钥使用建立基线并监控偏离：调用来源、频率、时间与操作类型的变化通常早于事故暴露；对导出尝试、非工作时段调用等信号设置告警。
易错点
- 只监控失败调用，忽略成功但异常的调用
- 告警不带密钥标识与调用来源，处置缓慢
数据来源与参考
- AWS CloudTrail 官方文档（KMS 事件）
- NIST SP 800-57（密钥使用监控）